<link>标签的referrerpolicy必须显式设置，因<meta name="referrer">对资源加载完全无效——浏览器解析HTML早期即同步发起<link>请求，而<meta>在DOM构建后才生效，时机错位导致策略失效；不设则默认no-referrer-when-downgrade，HTTPS→HTTPS跨域时仍泄露完整路径如/admin?token=xyz。
link标签的referrerpolicy为什么必须显式设置
link 标签（比如加载字体、CSS、预连接）发起的请求，完全不受 <meta name="referrer"> 控制。浏览器在解析 HTML 早期就同步发出这些请求，而 <meta> 要等到 DOM 构建阶段才生效——时机错位，策略直接失效。不加 referrerpolicy，默认用 no-referrer-when-downgrade，HTTPS→HTTPS 跳转时 Referer 仍带完整路径，例如 /dashboard?token=xyz 会原样发给 Google Fonts 或 CDN。
- 默认策略对隐私不设防：它只在降级到 HTTP 时清 Referer，跨 HTTPS 域名照样暴露敏感路径
-
<meta name="referrer">对<link>完全无效，不是“没配好”，是根本不起作用 - 拼写错误（如
referrerpolicy少个e）或大小写错误（如Strict-Origin-When-Cross-Origin）会导致浏览器退化为默认策略
哪些link场景最易泄露路径，该怎么配
字体、CDN CSS、预加载资源这三类 link 最常把内部路由结构暴露给第三方：
-
<link rel="stylesheet" href="<a href="https://www.php.cn/link/0e8a3d70ff10db16c883d0732a1daeae">https://fonts.googleapis.com/css2?family=Inter"></a>;：Referer 是你当前页完整 URL，Google Fonts 就知道用户正访问/admin/settings -
<link rel="preload" href="<a href="https://www.php.cn/link/68ab77f46892475f211429b90c4fb8db">https://www.php.cn/link/68ab77f46892475f211429b90c4fb8db</a>" as="style">：若未设策略，Referer 含查询参数，可能泄露?v=20260818或调试标记 -
<link rel="preconnect" href="<a href="https://www.php.cn/link/6d632e2798db5cbdf11c474fe884f2d6">https://api.example.com"></a>;：虽不发实际请求体，但部分浏览器仍附带 Referer，尤其在重定向链中
推荐配置方式：
- 字体/外部 CSS：
referrerpolicy="no-referrer"—— 防止 origin 校验失败，也避免路径泄露 - 同域 CSS/JS：
referrerpolicy="strict-origin-when-cross-origin"—— 同源保留路径供调试，跨域自动收缩 -
rel="preconnect"或rel="dns-prefetch"：可省略，这类提示性 link 通常不触发 Referer，但加referrerpolicy="origin"更稳妥
referrerpolicy="origin" 和 "no-referrer" 在 link 上的区别
对 link 标签，这两个值的行为差异直接影响资源能否正常加载：
立即学习“前端免费学习笔记（深入）”；
-
referrerpolicy="no-referrer"：请求头里压根没有Referer字段，适合 CDN 白名单宽松、或完全不想暴露来源的场景 -
referrerpolicy="origin"：发送<a href="https://www.php.cn/link/dc2eb29b2e1b6e0f36ceedc12cb00032">https://www.php.cn/link/dc2eb29b2e1b6e0f36ceedc12cb00032</a>（不含路径），适合需要 origin 校验但拒绝路径泄露的服务（如某些字体 API） -
referrerpolicy="strict-origin-when-cross-origin"：同源发完整 URL，跨源只发 origin —— 若你同时用自建 CSS 和 Google Fonts，这是更平衡的选择
注意：rel="preload" 必须带 as 参数，否则多数浏览器忽略；referrerpolicy 在它上面有效，但不会改变 preload 的优先级或触发时机。
容易被忽略的坑：HTTP 响应头比 HTML 属性更可靠
你在 link 上加了 referrerpolicy="origin"，但 CDN 返回的响应头是 Referrer-Policy: unsafe-url，最终行为以响应头为准——HTML 属性会被覆盖。反过来，如果服务端没配头，仅靠 HTML 属性，又存在两个硬伤：
- 页面 404/500 错误页不会继承该属性，而错误页 URL 往往含敏感参数（如
/api/users/123?session=abc） - JS 动态插入的
link（如 lazy load 字体）无法继承已有属性，必须手动设置
真正稳的做法是后端统一加响应头：add_header Referrer-Policy "strict-origin-when-cross-origin" always;。其中 always 关键字确保错误页也生效，避免报错时 Referer 裸奔。
复杂点在于：HTML 层面的 referrerpolicy 只管它自己这一条请求，没法约束后续 JS 发起的 fetch() 或 XMLHttpRequest。那些请求的 Referer 由页面级策略或响应头决定，和单个 link 无关。
